Door | Privacyrecht | 29 maart 2021 | 6 min. leestijd
‘Is er toestemming nodig voor deze verwerking van persoonsgegevens?’ Het antwoord op deze vraag is – anders dan nog wel eens gedacht wordt – heus niet altijd ‘ja’.
Ook in een zaak van 19 maart niet: de rechter oordeelde dat er een andere verwerkingsgrond bestond om een rechtmatige verwerking mogelijk te maken. De verwerking was rechtmatig omdat de verwerking noodzakelijk was voor de uitvoering van een overeenkomst.
De voorgeschiedenis: bezwaar bij de Autoriteit Persoonsgegevens
Eiser in deze zaak is een persoon die geklaagd heeft bij de Autoriteit Persoonsgegevens over een onderneming. De naam van de onderneming wordt in de uitspraak niet genoemd, ik noem haar in deze blog “onderneming X”. Eiser heeft zijn persoonsgegevens aan onderneming X verstrekt, maar hij heeft onderneming X geen toestemming gegeven om zijn gegevens aan DEX Online Services (DEX) te verstrekken. DEX was door onderneming X ingeschakeld om de ledenadministratie te automatiseren.
De Autoriteit Persoonsgegevens heeft de klacht van eiser afgewezen. Eiser heeft hier bezwaar tegen gemaakt, en het bezwaar is door de Autoriteit Persoonsgegevens ongegrond verklaard. Daarvoor was onder meer relevant dat zowel onderneming X als DEX gehoor had gegeven aan het verzoek van eiser om de persoonsgegevens te wissen. De Autoriteit Persoonsgegevens zag geen aanleiding om handhavend of anderszins op te treden tegen onderneming X of DEX. Eiser heeft beroep ingesteld en de kwestie wordt nu aan de bestuursrechter voorgelegd.
Eiser: noodzakelijkheid ontbrak
Eiser voert nu aan dat het niet noodzakelijk was om DEX in te schakelen omdat onderneming X ook een secretaresse had kunnen inschakelen. Voorheen hield onderneming X altijd zelfstandig de ledenadministratie bij, en eiser geeft aan dat er geen overtuigend bewijs is overgelegd (of argument is gegeven) waarom er voor een derde partij is gekozen. Omdat de noodzakelijkheid ontbreekt, is er toestemming vereist voor het verstrekken van de gegevens aan DEX, zo stelt eiser. Daarnaast stelt eiser dat het aan DEX was om zich ervan te vergewissen dat onderneming X voldeed aan artikel 6 van de Algemene Verordening Gegevensbescherming (AVG). Artikel 6 AVG is het artikel waarin de grondslagen voor rechtmatige verwerking van persoonsgegevens staan.
Eiser: er is niet voldaan aan de verantwoordingsplicht
Tot slot stelt eiser dat onderneming X een verantwoordingsplicht heeft en de naleving van artikel 5 lid 1 AVG had moeten kunnen aantonen. In artikel 5 lid 1 zijn de beginselen inzake verwerking van persoonsgegevens opgenomen, waaronder het beginsel dat persoonsgegevens alleen voor (kort gezegd) welbepaalde en gerechtvaardigde doelen mogen worden verzameld. Onderneming X zou niet aan de verantwoordingsplicht, die is opgenomen in lid 2, hebben voldaan.
Hetzelfde zou gelden voor de invoering van zijn persoonsgegevens in de YogiBit-app. Dit is een app die onderneming X aanbiedt om gebruikers toegang te geven tot eigen gegevens zodat zij zich kunnen aanmelden voor lessen.
Het oordeel van de bestuursrechter
De rechter stelt vast dat onderneming X moet worden aangemerkt als verwerkingsverantwoordelijke in de zin van de AVG, en DEX als de verwerker.
De grondslagen uit de AVG
De grondslagen voor rechtmatige verwerking van persoonsgegevens staan in artikel 6 van de AVG. De rechter stelt vast:
Voor zover hier van belang is de verwerking op grond van artikel 6, eerste lid, onder a, van de AVG rechtmatig als de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden. Op grond van artikel 6, eerste lid, onder b, van de AVG is de verwerking rechtmatig als de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is.
In dit geval heeft de verwerking van persoonsgegevens het volgende doel: het bijhouden van de ledenadministratie door onderneming X.
Volgens de rechter zijn partijen het erover eens dat het bijhouden van de ledenadministratie noodzakelijk is om te kunnen voldoen aan de overeenkomst die eiser met onderneming X had. Daarmee zijn partijen het er ook over eens dat onderneming X zich op de grondslag onder b kan beroepen: ‘noodzakelijk voor de overeenkomst’.
Waar partijen het niet over eens zijn, is of het inschakelen van DEX voor de automatisering van haar ledenadministratie noodzakelijk was en of dat van belang is.
Wat houdt ‘noodzakelijk’ in?
De rechter stelt vast dat de noodzakelijkheidstoets inhoudt dat moet worden voldaan de beginselen van proportionaliteit en subsidiariteit.
De rechter oordeelt:
Het proportionaliteitsbeginsel betekent dat de inbreuk op de belangen van de bij de verwerking van de persoonsgegevens betrokken persoon niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Op grond van het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verstrekt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon, minder nadelige wijze kunnen worden verwezenlijkt.
Was het inschakelen van DEX ‘noodzakelijk’?
Volgens de rechter stond het onderneming X vrij om te besluiten de persoonsgegevens binnen de organisatie te verwerken of om de verwerkingen uit te besteden. Met DEX is een verwerkersovereenkomst gesloten. Om die reden is DEX gehouden om de persoonsgegevens indachtig de overeenkomst tussen eiser en onderneming X te verwerken. In dat kader bestond er geen aanleiding om eiser om toestemming te vragen.
Kortom: de toestemming van eiser was niet nodig voor de rechtmatige verwerking van persoonsgegevens.
Ten overvloede: het inschakelen van DEX was noodzakelijk
Ten overvloede oordeelt de rechtbank dat het inschakelen van DEX ook noodzakelijk was. Vanwege grote groei was er een andere wijze van administreren noodzakelijk. Op DEX rust geen verplichting om zich ervan te vergewissen dat onderneming X aan de verplichtingen uit artikel 6 AVG voldeed.
Ook heeft de Autoriteit Persoonsgegevens zich volgens de rechter op het standpunt kunnen stellen dat onderneming X heeft voldaan aan haar verantwoordingsplicht uit artikel 5 AVG. Tot slot heeft de Autoriteit Persoonsgegevens genoegzaam gemotiveerd dat niet is gebleken dat de persoonsgegevens van eiser zijn verwerkt in de YogiBit-app.
Kortom: het beroep is ongegrond.
Conclusies
Het is een misverstand dat de verwerking van persoonsgegevens pas kan plaatsvinden als de betrokkene toestemming heeft gegeven. Indien de verwerking noodzakelijk is voor de uitvoering van een overeenkomst – zoals het bijhouden van de ledenadministratie –, is ook dat een grondslag voor een rechtmatige verwerking van persoonsgegevens.
Heb je zelf vragen over bijvoorbeeld verwerkingsgrondslagen of grondslagen? Neem gerust contact met ons op.
